SparrowDoor Backdoor: киберугроза с расширенными возможностями

Исследователи кибербезопасности раскрыли возобновленную кампанию кибершпионажа, организованную хакерской группой FamousSparrow, которая была связана с недавней атакой, нацеленной на торговую организацию США и мексиканский исследовательский институт. В основе этой операции лежит бэкдор SparrowDoor, усовершенствованный инструмент, предназначенный для проникновения и сохранения в целевых системах, облегчая скрытую кражу данных и несанкционированный доступ.

Что такое бэкдор SparrowDoor?

SparrowDoor — это бэкдор-имплант, впервые обнаруженный в 2021 году , который был связан исключительно с группой FamousSparrow. Этот инструмент позволяет злоумышленникам выполнять команды, манипулировать файлами, собирать разведданные и даже удалять себя, когда это необходимо для избежания обнаружения. Недавно были обнаружены две новые версии SparrowDoor, демонстрирующие значительные улучшения в эффективности и модульности.

Одна из этих версий была разработана модульно, интегрируя архитектуру на основе плагинов, которая расширяет ее функциональность. Эти модули позволяют злоумышленникам регистрировать нажатия клавиш, выполнять удаленные команды, запускать прокси-сервисы, делать снимки экрана и отслеживать изменения файловой системы. Такая конструкция предоставляет операторам точный контроль над скомпрометированными системами и повышает универсальность бэкдора.

Как работает SparrowDoor?

Атака начинается с развертывания веб-оболочки на сервере Internet Information Services (IIS), которая действует как шлюз для доставки вредоносных полезных нагрузок. Точный метод получения первоначального доступа остается неясным. Тем не менее, считается, что устаревшее программное обеспечение, такое как старые версии Windows Server и Microsoft Exchange Server, сыграло свою роль в содействии взлому.

Оказавшись внутри, злоумышленники запускают пакетный скрипт, который развертывает встроенную веб-оболочку на основе .NET. Затем эта вторичная веб-оболочка устанавливает SparrowDoor, создавая постоянный плацдарм в скомпрометированной сети. Одним из ключевых усовершенствований бэкдора является его способность выполнять длительные команды, не нарушая связь с сервером управления и контроля (C&C). Это означает, что бэкдор может обрабатывать новые инструкции, одновременно выполняя длительные операции, такие как передача файлов или взаимодействие с оболочкой.

Каковы его возможности?

SparrowDoor предлагает обширный набор команд, которые позволяют злоумышленникам:

• Запускайте интерактивные сеансы оболочки для управления в реальном времени.
• Передача файлов между зараженным компьютером и сервером управления.
• Регистрируйте нажатия клавиш для сбора конфиденциальной информации.
• Настройте TCP-прокси для маршрутизации вредоносного трафика.
• Отслеживать изменения в указанных каталогах.
• Делайте снимки экрана, чтобы визуально отслеживать активность пользователя.
• Перечислить и завершить запущенные процессы.

Эти функции делают SparrowDoor эффективным инструментом для долгосрочного кибершпионажа, кражи данных и постоянного проникновения в сети.

Связь с другими киберугрозами

Хотя FamousSparrow был связан с другими известными группами угроз, включая Earth Estries, GhostEmperor и Salt Typhoon, аналитики по кибербезопасности продолжают рассматривать его как отдельную сущность. Это связано с его уникальными методами атак и эксклюзивным использованием SparrowDoor.

Последняя кампания группы также знаменует собой первый задокументированный случай развертывания ShadowPad, еще одного высокосложного вредоносного ПО, ранее связанного с китайскими государственными субъектами. Это говорит о том, что FamousSparrow может делиться инструментами или согласовывать свои операции с другими продвинутыми постоянными угрозами (APT), что еще больше усложняет попытки атрибуции.

Последствия атаки

Появление усовершенствованного бэкдора SparrowDoor имеет серьезные последствия для глобальной кибербезопасности. Организации, использующие устаревшие или неисправленные системы, особенно уязвимы для этой угрозы, поскольку методы атаки основаны на использовании известных слабостей в корпоративной инфраструктуре.

Способность SparrowDoor сохранять устойчивость и выполнять параллельные задачи делает его грозным инструментом для кибершпионажа. Это вызывает опасения относительно возможности кражи интеллектуальной собственности и слежки, а также более широких рисков для критически важных отраслей. Научно-исследовательские институты, государственные учреждения и организации частного сектора, работающие с конфиденциальными данными, должны сохранять бдительность в отношении таких угроз.

Защитные меры

Чтобы снизить риск, создаваемый SparrowDoor и аналогичными киберугрозами, организациям следует предпринять упреждающие меры, в том числе:

• Регулярное обновление: обеспечение обновления всего программного обеспечения, особенно Windows Server и Microsoft Exchange, до последних версий безопасности.
• Мониторинг сети: внедрение современных систем обнаружения угроз для выявления необычных схем трафика и попыток несанкционированного доступа.
• Безопасность конечных точек: развертывание надежных решений по защите конечных точек, способных обнаруживать и нейтрализовывать сложные вредоносные программы.
• Контроль доступа: ограничение административных привилегий для минимизации поверхности атаки.
• Планирование реагирования на инциденты: подготовка планов действий в чрезвычайных ситуациях для быстрого реагирования на киберинциденты и минимизации потенциального ущерба.

Заключительные мысли

Обнаружение последних вариантов SparrowDoor свидетельствует о том, что FamousSparrow остается активной и развивающейся киберугрозой. Благодаря своим сложным возможностям, модульной архитектуре и потенциальным связям с другими APT-группами бэкдор представляет значительный риск для организаций по всему миру. Поскольку киберугрозы не перестают развиваться, предприятия и учреждения должны принять серьезные меры кибербезопасности для защиты от таких настойчивых и адаптивных противников.